Pikavastaus: Colorado Privacy Act (CPA) ja Connecticut Data Privacy Act (CTDPA) ovat kaksi Yhdysvaltojen aktiivisimmin valvottua osavaltiotason tietosuojalakia. Molemmat lait asettavat suostumus-, läpinäkyvyys- ja kieltäytymisvelvoitteita verkkosivustoille, jotka käsittelevät asukkaiden henkilötietoja määriteltyjen kynnysarvojen yläpuolella. Vuoden 2026 puolivälistä alkaen Connecticut on laskenut sovellettavuuskynnystään 35 000 kuluttajaan ja laajentanut arkaluonteisten tietojen määritelmäänsä, mikä tekee vaatimustenmukaisuudesta entistäkin kiireellisempää verkkosivustojen omistajille ja osavaltioiden rajojen yli toimiville yrityksille.
Tärkeimmät huomiot
- Colorado Privacy Act on ollut voimassa 1. heinäkuuta 2023 alkaen; Connecticutin kynnys laski 35 000 kuluttajaan 1. heinäkuuta 2026 alkaen.
- Molemmat osavaltiot edellyttävät yrityksiltä Global Privacy Control (GPC) -signaalien kunnioittamista, ja molempien osavaltioiden oikeusministerit suorittivat yhteisen valvontaiskun syyskuussa 2025.
- Connecticutin vuoden 2026 muutokset laajensivat arkaluonteisten tietojen luokkia sisältämään hermotiedot, vammaisuuden tilan, transsukupuolisuuden tai muunsukupuolisuuden tilan sekä valtion myöntämät henkilötunnukset.
- Coloradon uusi tekoälylaki (CADMA), joka allekirjoitettiin 14. toukokuuta 2026, lisää algoritmien läpinäkyvyysvelvoitteita 1. tammikuuta 2027 alkaen.
- Yritysten on otettava käyttöön yleiset kieltäytymismekanismit, julkaistava yksityiskohtaiset tietosuojailmoitukset ja vastattava kuluttajien tietopyyntöihin.
- Kumpikaan laki ei edellytä täysin erillisiä tietosuojakäytäntöjä osavaltioittain, mutta yhden käytännön on käsiteltävä kunkin lain mukaisia erityisiä oikeuksia.
- Suostumuksenhallintatyökalut, kuten Biscotti CMP (www.biscotti-cmp.com), ovat välttämättömiä kieltäytymissignaalien tunnistamisen ja suostumusten kirjaamisen automatisoimiseksi.
- Rikkomukset voivat johtaa osavaltioiden oikeusministerien määräämiin siviilirangaistuksiin; kummankaan lain mukaan ei ole yksityistä kanneoikeutta.
Mitä eroa on Coloradon ja Connecticutin tietosuojalaeilla?
Coloradolla ja Connecticutilla on laajasti samanlainen tietosuojakehys, mutta ne eroavat toisistaan keskeisissä kynnysarvoissa, arkaluonteisten tietojen määritelmissä ja tekoälysääntelyn laajuudessa. Näiden erojen ymmärtäminen on perustavanlaatuista Coloradon ja Connecticutin tietosuojalaeille: verkkosivustosi valmistelu osavaltiotason vaatimustenmukaisuuteen.
Colorado Privacy Act (CPA): Voimassa 1. heinäkuuta 2023 alkaen, CPA koskee rekisterinpitäjiä, jotka käsittelevät vuosittain 100 000 tai useamman Coloradon kuluttajan henkilötietoja, tai 25 000 tai useamman kuluttajan tietoja, jos yritys saa tuloja henkilötietojen myynnistä [6].
Connecticut Data Privacy Act (CTDPA): Voimassa 1. heinäkuuta 2023 alkaen, mutta sitä on muutettu merkittävästi vuodeksi 2026. 1. heinäkuuta 2026 alkaen sovellettavuuskynnys laski 100 000:sta 35 000 kuluttajaan, mikä laajensi lain ulottuvuutta huomattavasti [2].
| Ominaisuus | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Voimaantulopäivä | 1. heinäkuuta 2023 | 1. heinäkuuta 2023 |
| Kuluttajakynnys | 100 000/vuosi | 35 000 (heinäkuusta 2026 alkaen) |
| Liikevaihtoon perustuva kynnys | 25 000 + datatulot | 25 000 + 25 % tuloista datasta |
| Yleinen kieltäytyminen vaaditaan | Kyllä | Kyllä (1. tammikuuta 2025 alkaen) |
| Arkaluonteisten tietojen laajennus (2026) | Ei merkittävää muutosta 2026 | Kyllä (hermotiedot, vammaisuus jne.) |
| Tekoälylaki | CADMA (voimaan 1. tammikuuta 2027) | SB 5 (voimaan 1. lokakuuta 2027) |
Koskevatko Coloradon ja Connecticutin tietosuojalait pienyritystäni?
Molemmat lait soveltuvat tietomääräkynnysten perusteella, eivät pelkästään yrityksen koon tai liikevaihdon perusteella. Pieni verkkokauppa, joka käsittelee 35 000 tai useamman Connecticutin asukkaan henkilötietoja kalenterivuoden aikana, kuuluu CTDPA:n piiriin 1. heinäkuuta 2026 alkaen, riippumatta vuotuisesta liikevaihdosta [2].
Valitse tämä sääntö: Jos verkkosivustosi kerää sähköpostiosoitteita, ostohistoriaa tai käyttäytymisen seurantatietoja jommankumman osavaltion asukkailta, laske ainutlaatuiset kuluttajatietueesi vuosittain. Ylitätkö kynnyksen? Olet lain piirissä.
- Colorado: 100 000 kuluttajaa käsitelty vuodessa TAI 25 000 kuluttajaa, jos datamyynti edistää tuloja [6].
- Connecticut: 35 000 kuluttajaa käsitelty vuodessa (heinäkuun 2026 jälkeen) TAI 25 000 kuluttajaa, jos 25 % tai enemmän bruttotuloista on peräisin henkilötietojen myynnistä [2].
Yleinen virhe: Monet pienyritykset olettavat, että "datan myynti" tarkoittaa suoraa datan välitystä. Käytännössä datan jakaminen mainosverkostojen kanssa kohdennettua mainontaa varten voi täyttää myynnin kriteerit molempien lakien mukaan.
Mitkä ovat Colorado Privacy Actin tärkeimmät vaatimukset?
CPA edellyttää rekisterinpitäjiltä selkeiden tietosuojailmoitusten antamista, kuluttajien oikeuksien kunnioittamista ja kieltäytymismekanismien käyttöönottoa datamyynnin ja kohdennetun mainonnan osalta [6].
CPA:n mukaiset keskeiset velvoitteet:
- Tietosuojailmoitus: Ilmoita kerättyjen henkilötietojen luokat, käsittelyn tarkoitukset ja tiedot vastaanottavien kolmansien osapuolten luokat.
- Kuluttajien oikeudet: Pääsy, korjaus, poisto, tiedonsiirrettävyys ja oikeus kieltäytyä myynnistä, kohdennetusta mainonnasta ja profiloinnista.
- Tietosuojan vaikutustenarvioinnit: Vaaditaan korkean riskin käsittelytoimista, mukaan lukien kohdennettu mainonta ja profilointi.
- Käsittelijäsopimukset: Kirjalliset sopimukset tietojen käsittelijöiden kanssa, joissa määritellään käsittelyohjeet ja turvallisuusvelvoitteet.
- Yleinen kieltäytyminen: Kunnioita GPC-signaaleja ja vastaavia selainpohjaisia kieltäytymismekanismeja [7].
Coloradon oikeusministerin toimisto valvoo CPA:ta 60 päivän korjausajalla ensimmäisten rikkomusten osalta (voi muuttua tulevan sääntelyn myötä) [6].
Mitkä ovat Connecticutin tietosuojalain tärkeimmät vaatimukset?
CTDPA heijastaa CPA:n rakennetta, mutta sisältää laajennettuja arkaluonteisten tietojen luokkia ja aikaisemman yleisen kieltäytymisen valvonnan. 1. tammikuuta 2025 alkaen kattavien yritysten on kunnioitettava yleisiä kieltäytymissignaaleja, mukaan lukien GPC [4].
Arkaluonteiset tiedot CTDPA:n mukaan (heinäkuun 2026 muutosten jälkeen) sisältävät nyt [3]:
- Rodullinen tai etninen alkuperä
- Mielenterveyden tai fyysisen terveyden tilat, mukaan lukien vammaisuuden tila
- Transsukupuolisuus tai muunsukupuolisuus
- Hermotiedot
- Taloudelliset tilitunnukset yhdistettynä pääsytietoihin
- Valtion myöntämät henkilötunnukset
- Tarkka sijaintitieto
- Geneettiset tai biometriset tiedot
Arkaluonteisten tietojen käsittely edellyttää nimenomaista opt-in-suostumusta Connecticutin kuluttajilta. Tämä on tiukempi standardi kuin yleisiin henkilötietoihin sovellettava opt-out-malli.
Kumpi on tiukempi: Coloradon tietosuojalaki vai Connecticutin tietosuojalaki?
Connecticutin vuoden 2026 muutokset tekevät siitä hieman tiukemman useimmille verkkosivustoille, pääasiassa sen alhaisemman sovellettavuuskynnyksen (35 000 vs. 100 000 kuluttajaa) ja laajennettujen arkaluonteisten tietojen luokkien vuoksi, jotka edellyttävät opt-in-suostumusta [2][3]. Coloradon tuleva CADMA asettaa kuitenkin laajemmat tekoälyyn liittyvät velvoitteet useammille sektoreille kuin Connecticutin SB 5 [1].
Käytännön tuomio: Verkkosivustoille, jotka ovat ensisijaisesti huolissaan tiedonkeruusta ja mainonnasta, Connecticut on vaativampi lainkäyttöalue vuonna 2026. Yrityksille, jotka ottavat käyttöön automaattisia päätöksentekotyökaluja, Coloradon CADMA (voimaan 1. tammikuuta 2027) asettaa todennäköisesti raskaamman vaatimustenmukaisuusvelvoitteen [8].
Mikä on määräaika Coloradon ja Connecticutin tietosuojalakien noudattamiselle?
CPA on ollut täytäntöönpanokelpoinen 1. heinäkuuta 2023 alkaen. Connecticutin alennettu kynnys ja laajennetut arkaluonteisten tietojen määritelmät tulivat voimaan 1. heinäkuuta 2026. Yritysten, jotka olivat aiemmin Connecticutin 100 000 kuluttajan kynnyksen alapuolella, mutta ylittävät nyt 35 000, on saavutettava vaatimustenmukaisuus välittömästi [2].
Tulevat määräajat seurattavaksi:
- 1. heinäkuuta 2026: Connecticutin uusi 35 000 kuluttajan kynnys ja laajennetut arkaluonteisten tietojen luokat ovat voimassa.
- 1. tammikuuta 2027: Coloradon CADMA tulee voimaan tekoälyavusteisten päätöksentekojärjestelmien osalta.
- 1. lokakuuta 2027: Connecticutin SB 5:n tekoälymääräykset tulevat voimaan työhön liittyvien automaattisten päätösten osalta [8].
Mitä tapahtuu, jos verkkosivustoni rikkoo Coloradon tai Connecticutin tietosuojalakeja?
Kumpikaan laki ei luo yksityistä kanneoikeutta, mikä tarkoittaa, että yksittäiset kuluttajat eivät voi haastaa yritystäsi suoraan oikeuteen. Valvonta on yksinomaan osavaltion oikeusministerin vastuulla [4][8].
Mahdolliset seuraukset:
- Siviilirangaistukset jopa 20 000 dollaria rikkomusta kohden Connecticutissa ja jopa 20 000 dollaria rikkomusta kohden Coloradossa.
- Määräyksenomainen helpotus, joka edellyttää toiminnallisia muutoksia.
- Julkiset täytäntöönpanotoimet, jotka aiheuttavat merkittävää mainevahinkoa.
Syyskuussa 2025 Connecticutin, Kalifornian ja Coloradon oikeusministerit ilmoittivat yhteisestä tutkinnasta, joka kohdistuu yrityksiin, jotka eivät kunnioita GPC-signaaleja [5]. Tämä koordinoitu valvonta osoittaa, että sääntelyviranomaiset seuraavat aktiivisesti vaatimustenmukaisuutta eivätkä odota kuluttajien valituksia.
Tarvitsenko erilliset tietosuojakäytännöt Coloradolle ja Connecticutille?
Ei, yksi kattava tietosuojakäytäntö voi täyttää molempien lakien vaatimukset, edellyttäen että se käsittelee nimenomaisesti kunkin lain edellyttämiä oikeuksia ja ilmoituksia. Monet yritykset käyttävät kerroksellista lähestymistapaa: yleinen tietosuojakäytäntö, jota täydennetään osavaltiokohtaisilla lisäyksillä tai erillisellä "Tietosuojaoikeutesi" -osiolla, jossa viitataan Coloradon ja Connecticutin asukkaisiin nimeltä.
Tietosuojakäytäntösi on katettava vähintään:
- Kerättyjen henkilötietojen luokat ja käsittelyn tarkoitukset
- Käytettävissä olevat kuluttajien oikeudet (pääsy, poisto, korjaus, siirrettävyys, kieltäytyminen)
- Miten kuluttajien oikeuspyyntö tehdään ja vastausaikataulu (45 päivää, jatkettavissa 45 päivällä)
- Kolmansien osapuolten luokat, joiden kanssa tietoja jaetaan
- Myykö yritys henkilötietoja tai käyttääkö se niitä kohdennettuun mainontaan
Miten tiedän, onko verkkosivustoni noudatettava näitä osavaltion lakeja?
Määritä sovellettavuus tarkistamalla vuotuiset kuluttajatietueesi kunkin osavaltion kynnysarvoa vastaan. Jos verkkosivustosi käyttää analytiikkaa, mainospikseleitä tai mitä tahansa käyttäytymisen seurantaa, keräät lähes varmasti henkilötietoja molempien osavaltioiden asukkailta.
Nopea itsearviointi:
- Kerääkö verkkosivustosi henkilötietoja (nimiä, sähköpostiosoitteita, IP-osoitteita, laitetunnisteita)?
- Palveletko Coloradon tai Connecticutin kävijöitä?
- Käsitteletkö vuosittain yli 100 000 Coloradon asukkaan tai yli 35 000 Connecticutin asukkaan tietoja?
- Jaatko tietoja mainosverkostojen tai kolmannen osapuolen analytiikkapalveluntarjoajien kanssa?
Jos vastasit kyllä kysymyksiin 1, 2 ja 4, täytät todennäköisesti vähintään yhden lain kynnysarvon jopa ilman tarkkoja kuluttajalukuja, erityisesti Connecticutin osalta heinäkuun 2026 jälkeen.
Mitä tietosuojatyökaluja minun on otettava käyttöön vaatimustenmukaisuuden varmistamiseksi?
Vaatimustenmukaisuus edellyttää sekä teknistä toteutusta että käytäntöjen dokumentointia. Kriittisin tekninen komponentti on suostumuksenhallintajärjestelmä (CMP), joka voi havaita ja kunnioittaa GPC-signaaleja, näyttää vaatimustenmukaisia suostumusbannerit ja kirjata suostumustiedot auditointitarkoituksiin.
Biscotti CMP (www.biscotti-cmp.com) on suunniteltu vastaamaan näihin vaatimuksiin, tarjoten GPC-signaalien tunnistuksen, yksityiskohtaisen suostumuksen luokittelun ja auditointivalmiit suostumuslokit, jotka ovat CPA:n ja CTDPA:n velvoitteiden mukaisia.
Lisävaatimukset:
- Evästeiden auditointi: Inventoi kaikki verkkosivustosi ensimmäisen ja kolmannen osapuolen evästeet ja seuraimet.
- Tietojen kartoitus: Dokumentoi, minne henkilötiedot virtaavat, mukaan lukien kolmannen osapuolen käsittelijät.
- Kuluttajien oikeuksien portaali: Mekanismi (verkkolomake tai sähköpostiprosessi) pääsy-, poisto- ja korjauspyyntöjen lähettämiseen.
- Tietosuojailmoituksen päivitykset: Heijasta kaikki vuoden 2026 Connecticutin muutokset, mukaan lukien laajennetut arkaluonteisten tietojen luokat.
Onko tietyntyyppisille verkkosivustoille tai yrityksille poikkeuksia?
Molemmat lait sisältävät yksikkö- ja tietotason poikkeuksia. Voittoa tavoittelemattomat järjestöt, valtion yksiköt ja tietyt säännellyt toimialat (kuten HIPAA:n piiriin kuuluvat terveydenhuollon yksiköt terveystietojen osalta ja GLBA:n sääntelemät rahoituslaitokset taloudellisten tietojen osalta) voivat olla osittain tai kokonaan vapautettuja.
Yleiset poikkeukset:
- HIPAA:n, FERPA:n, GLBA:n tai COPPA:n mukaan jo säännellyt tiedot on vapautettu CPA:n ja CTDPA:n vaatimuksista tietotasolla.
- Yritykset, jotka toimivat yksinomaan Coloradossa tai Connecticutissa ilman digitaalista mainontatoimintaa ja kuluttajakynnyksen alapuolella, eivät kuulu lain piiriin.
- Työntekijätiedoilla on rajoitettuja poikkeuksia molempien lakien mukaan, vaikka Connecticutin SB 5 lisää uusia työllisyyteen liittyviä tekoälyn ilmoitusvaatimuksia lokakuusta 2027 alkaen [8].
Erityistapaus: Terveydenhuollon verkkosivusto, joka kerää HIPAA:n piiriin kuuluvia potilastietoja, on vapautettu näiden tietojen osalta, mutta se voi silti olla lain piirissä markkinointianalytiikan tai uutiskirjeen tilausten kautta kerättyjen ei-terveyteen liittyvien henkilötietojen osalta.
Mitä yleisiä virheitä yritykset tekevät osavaltion tietosuojalainsäädännön noudattamisessa?
Yleisimmät vaatimustenmukaisuusvirheet liittyvät GPC-signaaleihin, suostumusten kirjaamiseen ja vanhentuneisiin tietosuojailmoituksiin.
Vältettävät yleisimmät virheet:
- GPC-signaalien huomiotta jättäminen: Vuodesta 2026 alkaen vähintään kahdeksan osavaltiota vaatii GPC-tunnistuksen. Näiden signaalien kunnioittamatta jättäminen oli vuoden 2025 kolmen osavaltion valvontaiskun suora kohde [5][7].
- Staattiset tietosuojakäytännöt: Käytännön julkaiseminen kerran eikä sen koskaan päivittäminen. Connecticutin heinäkuun 2026 muutokset edellyttävät välittömiä käytäntöjen päivityksiä uusien arkaluonteisten tietojen luokkien heijastamiseksi.
- Kieltäytymisen pitäminen valinnaisena: Jotkut yritykset ottavat käyttöön suostumusbannerit, mutta jatkavat mainosseuraimien käynnistämistä ennen kuin käyttäjä on vuorovaikutuksessa. Tämä rikkoo molempien lakien henkeä ja kirjainta.
- Ei tietojenkäsittelysopimuksia: Tietojen jakaminen käsittelijöiden kanssa ilman kirjallisia sopimuksia on suora CPA-rikkomus [6].
- Oletus, että voittoa tavoittelemattoman aseman tarjoama täysi vapautus: Yksikkötason poikkeukset ovat kapeita; tietotason poikkeukset eivät kata kaikkia käsittelytoimia.
Vaikuttavatko Coloradon ja Connecticutin tietosuojalait verkkokauppasivustoihin eri tavalla?
Verkkokauppasivustot ovat molempien lakien mukaan suuremmassa vaarassa, koska ne tyypillisesti keräävät maksutietoja, ostohistoriaa, tarkkaa sijaintitietoa (toimitusta varten) ja käyttäytymisprofiileja, jotka kaikki voivat täyttää arkaluonteisten tietojen määritelmän laajennettujen CTDPA-määritelmien mukaan [3].
Verkkokauppatoimijoille käytännön seuraukset ovat:
- Opt-in-suostumus vaaditaan ennen taloudellisten tilitunnusten käsittelyä yhdistettynä pääsytietoihin (uusi Connecticutin arkaluonteisten tietojen luokka heinäkuusta 2026 alkaen).
- Ostohistoriaan perustuva käyttäytymismainonta edellyttää selkeää kieltäytymismekanismia ja GPC-vaatimustenmukaisuutta.
- Yksittäisiin kuluttajaprofiileihin linkitetty kanta-asiakasohjelmatieto laukaisee CPA:n mukaiset tietosuojan vaikutustenarviointivaatimukset.
Kuinka paljon verkkosivustoni saattaminen osavaltion tietosuojalakien mukaiseksi maksaa?
Vaatimustenmukaisuuskustannukset vaihtelevat merkittävästi verkkosivuston monimutkaisuuden, olemassa olevan datainfrastruktuurin ja sen mukaan, käytetäänkö oikeudellista neuvontaa. Yksinkertainen tiedotussivusto, jossa on minimaalinen tiedonkeruu, voi saavuttaa vaatimustenmukaisuuden pääasiassa käytäntöjen päivityksillä ja CMP:n käyttöönotolla, mikä voi maksaa muutamasta sadasta muutamaan tuhanteen dollariin vuosittain. Monimutkaiset verkkokauppa-alustat tai yritykset, joilla on laajat tietojenkäsittelyputket, voivat aiheuttaa huomattavasti korkeampia kustannuksia tietojen kartoituksesta, oikeudellisesta tarkastelusta ja teknisestä korjauksesta.
Kustannustekijät:
- Tietosuojakäytännön ja tietojenkäsittelysopimusten oikeudellinen tarkastelu
- CMP-lisenssointi ja käyttöönotto (jatkuva vuosikustannus)
- Sisäisen henkilöstön aika kuluttajien oikeuspyyntöjen käsittelyyn
- Tietojen kartoitus- ja auditointiharjoitukset (kertaluonteiset ja säännölliset päivitykset)
Vaatimusten noudattamatta jättämisen kustannukset puolestaan sisältävät siviilirangaistukset jopa 20 000 dollaria rikkomusta kohden sekä mainevahingot julkisista täytäntöönpanotoimista.
Johtopäätös
Coloradon ja Connecticutin tietosuojalait: verkkosivustosi valmistelu osavaltiotason vaatimustenmukaisuuteen ei ole enää tulevaisuuden suunnitteluharjoitus. Connecticutin alennetun kynnyksen ollessa nyt voimassa 1. heinäkuuta 2026 alkaen ja valvontaiskujen ollessa jo käynnissä, reaktiivisen vaatimustenmukaisuuden aikaikkuna on sulkeutunut. Näissä osavaltioissa toimivien verkkosivustojen omistajien, kehittäjien ja markkinointitoimistojen on auditoitava kuluttajatietomääränsä, päivitettävä tietosuojailmoitukset heijastamaan laajennettuja arkaluonteisten tietojen luokkia, otettava käyttöön GPC:tä kunnioittava suostumuksenhallinta Biscotti CMP:n (www.biscotti-cmp.com) kaltaisen alustan kautta ja perustettava dokumentoidut prosessit kuluttajien oikeuspyyntöjä varten.
Toiminnalliset seuraavat vaiheet:
- Auditoi vuotuiset kuluttajatietueesi välittömästi 35 000 (Connecticut) ja 100 000 (Colorado) kynnysarvoja vastaan.
- Päivitä tietosuojakäytäntösi käsittelemään heinäkuun 2026 Connecticutin arkaluonteisten tietojen laajennuksia.
- Ota käyttöön suostumuksenhallintajärjestelmä, joka tunnistaa ja kunnioittaa GPC-signaaleja kaikilla verkkosivuston ominaisuuksilla.
- Tee kirjalliset tietojenkäsittelysopimukset kaikkien kolmannen osapuolen käsittelijöiden kanssa.
- Aloita valmistautuminen Coloradon CADMA AI -velvoitteisiin, jotka tulevat voimaan 1. tammikuuta 2027, jos verkkosivustosi käyttää automaattisia päätöksentekotyökaluja.
Osavaltiotason tietosuojalainsäädännön noudattaminen on nyt perusvaatimus, ei kilpailuetu. Yritykset, jotka käsittelevät sitä infrastruktuurina eikä yleiskustannuksena, ovat parhaiten asemoituja, kun valvontatoiminta kiihtyy edelleen.
UKK
K: Koskeeko Colorado Privacy Act Coloradon ulkopuolisia yrityksiä? Kyllä. CPA koskee kaikkia yrityksiä, jotka käsittelevät Coloradon asukkaiden henkilötietoja kynnysarvon yläpuolella, riippumatta siitä, missä yritys fyysisesti sijaitsee.
K: Mikä on Global Privacy Control (GPC) -signaali? GPC on selainpohjainen signaali, joka ilmoittaa automaattisesti kuluttajan kieltäytymistoiveen datamyynnistä ja kohdennetusta mainonnasta jokaiselle verkkosivustolle, jolla he vierailevat. Sekä Colorado että Connecticut edellyttävät, että kattavat yritykset kunnioittavat sitä [7].
K: Milloin Connecticut laski sovellettavuuskynnystään? Connecticutin kynnys laski 100 000:sta 35 000 kuluttajaan 1. heinäkuuta 2026 alkaen osana sen vuoden 2025 tietosuojalain muutoksia [2].
K: Onko CPA:n tai CTDPA:n mukaan yksityistä kanneoikeutta? Ei. Molempia lakeja valvovat yksinomaan niiden osavaltioiden oikeusministerit. Yksittäiset kuluttajat eivät voi nostaa kanteita suoraan kummankaan lain nojalla [4][8].
K: Mikä lasketaan henkilötietojen "myynniksi" näiden lakien mukaan? Henkilötietojen jakaminen kolmansien osapuolten kanssa rahallista tai muuta arvokasta vastiketta vastaan, mukaan lukien jakaminen mainosverkostojen kanssa kohdennettujen mainospalvelujen vastineeksi, katsotaan yleensä myynniksi molempien lakien mukaan.
K: Kuinka kauan yrityksillä on aikaa vastata kuluttajien oikeuspyyntöihin? Sekä CPA että CTDPA edellyttävät vastausta 45 päivän kuluessa, mahdollisella 45 päivän pidennyksellä, kun se on kohtuudella tarpeen, enintään 90 päivää yhteensä [6][4].
K: Korvaako Coloradon CADMA CPA:n? Ei. CADMA, joka tulee voimaan 1. tammikuuta 2027, on erillinen laki, joka sääntelee tekoälyavusteista päätöksentekoa. CPA sääntelee edelleen yleistä henkilötietojen käsittelyä [8].
K: Mitä hermotiedot ovat, ja miksi ne ovat tärkeitä verkkosivustoille? Hermotiedot viittaavat aivo-tietokoneliittymistä tai neuroteknologiasta saatuihin tietoihin. Connecticut lisäsi sen arkaluonteisten tietojen luokkiin vuonna 2026. Useimmat tavalliset verkkosivustot eivät kerää sitä, mutta terveys- ja hyvinvointialustojen, jotka käyttävät biometrisiä työkaluja, tulisi tarkistaa tietovarastonsa [3].
K: Tarvitsenko opt-in- vai opt-out-suostumuksen arkaluonteisille tiedoille Connecticutissa? Opt-in-suostumus vaaditaan arkaluonteisten tietojen käsittelyyn CTDPA:n mukaan. Tämä on tiukempi standardi kuin yleisiin henkilötietoihin sovellettava opt-out-malli [3].
K: Voiko yksi tietosuojakäytäntö kattaa sekä Coloradon että Connecticutin? Kyllä, edellyttäen että käytäntö käsittelee nimenomaisesti kunkin lain edellyttämiä oikeuksia ja ilmoituksia. Osavaltiokohtainen "Tietosuojaoikeutesi" -lisäys on yleinen ja tehokas lähestymistapa.
Viitteet
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai